{"id":165952,"date":"2026-08-31T12:39:33","date_gmt":"2026-08-31T09:39:33","guid":{"rendered":"https:\/\/www.catonetworks.com\/?p=165952"},"modified":"2026-08-31T12:41:53","modified_gmt":"2026-08-31T09:41:53","slug":"hugging-face-incident-a-ciso-wake-up-call-for-agentic-era","status":"publish","type":"post","link":"https:\/\/www.catonetworks.com\/it\/blog\/hugging-face-incident-a-ciso-wake-up-call-for-agentic-era\/","title":{"rendered":"L’incidente di Hugging Face: un campanello d’allarme per i CISO nell’era degli agenti"},"content":{"rendered":"\n

All’inizio di questo mese, Hugging Face, una societ\u00e0 di piattaforme di IA e apprendimento automatico, ha rivelato che un sistema di IA autonomo aveva penetrato parte del suo ambiente di produzione. La violazione \u00e8 iniziata nell’ambiente di elaborazione dei dataset della piattaforma, finendo per coinvolgere l’accesso di livello superiore, l’esposizione delle credenziali e lo spostamento verso cluster interni.<\/p>\n\n\n\n

Per i CISO, la rilevanza di questo episodio non si limita a una sola azienda n\u00e9 alla valutazione di un singolo modello, ma risiede nel fatto che gli agenti software possono perseguire incessantemente un obiettivo assegnato, suddividere il lavoro su attivit\u00e0 parallele e rivedere il proprio approccio al mutare delle condizioni. La ricerca di Cato sull’attaccante agentico<\/a> ha esaminato questa dinamica in un laboratorio controllato, nel quale un agente ha completato un percorso verso l’accesso con privilegi di amministratore di dominio in 40 minuti. In ciascuna delle esecuzioni riuscite, esso ha effettuato ricognizione, sfruttamento, scoperta interna, escalation dei privilegi, movimento laterale e attivit\u00e0 di esfiltrazione dati. In un caso, ha creato un tunnel basato su SMB per trasferire dati attraverso un punto di accesso che aveva gi\u00e0 stabilito. Questi risultati, seppure osservati in un ambiente controllato, illustrano il cambiamento operativo a cui i CISO devono prepararsi: gli agenti ora possono eseguire una sequenza di attacco completa, adattare i propri metodi e trasferire dati senza che un operatore umano coordini ogni azione.<\/p>\n\n\n\n

Una catena di attacco familiare, che si muove alla velocit\u00e0 della macchina<\/h2>\n\n\n\n

I singoli componenti della violazione a danno di Hugging Face non erano nuovi. Il modello includeva l’esecuzione di codice, l’espansione dell’accesso, la raccolta di credenziali e il trasferimento da un sistema all’altro. I team di sicurezza si difendono da ciascuna di queste attivit\u00e0 da anni.<\/p>\n\n\n\n

La nuova cronologia tecnica di Hugging Face<\/a> chiarisce la portata dell’evento. Hugging Face ha ricostruito circa 17.600 azioni dell’attaccante nel corso di una campagna di 4,5 giorni, durante la quale l’agente ha agito all’interno della sua infrastruttura per circa due giorni e mezzo. Ha utilizzato l’analisi assistita dall’IA per ricostruire la sequenza, decodificare i payload predisposti e identificare le credenziali e i sistemi coinvolti.<\/p>\n\n\n\n

Il resoconto successivo di OpenAI mostra che l’attivit\u00e0 \u00e8 iniziata durante una valutazione interna delle capacit\u00e0 informatiche. La piattaforma riferisce che i suoi modelli hanno individuato un percorso al di fuori dei confini di un ambiente di ricerca limitato, ottenuto l’accesso alla rete Internet e, successivamente, attinto a informazioni relative alla valutazione approfittando delle lacune presenti e delle credenziali scoperte. Il rapporto sull’incidente di OpenAI<\/a><\/p>\n\n\n\n

La governance \u00e8 un controllo di sicurezza operativa<\/h2>\n\n\n\n

L’analisi iniziale della Cloud Security Alliance<\/a> offre un’importante prospettiva gestionale: un agente IA con accesso ai sistemi aziendali dovrebbe essere gestito come un’entit\u00e0 attiva con autorit\u00e0 piuttosto che essere semplicemente categorizzato come un’applicazione.<\/p>\n\n\n\n

Ci\u00f2 \u00e8 di fondamentale importanza, in quanto gli agenti sono in grado di leggere dati sensibili, richiamare strumenti, utilizzare credenziali, connettersi ad altri sistemi, avviare flussi di lavoro e apportare modifiche. Un’organizzazione \u00e8 tenuta a sapere quali capacit\u00e0 detiene ciascun agente, perch\u00e9 le possiede e in che modo possono essere limitate.<\/p>\n\n\n\n

Per ogni agente provvisto di accesso significativo, \u00e8 necessario associare un chiaro scopo aziendale, una figura a cui attribuire la responsabilit\u00e0, un set limitato di autorizzazioni, regole di approvazione per azioni materiali e una traccia di audit concretamente utilizzabile da parte dei team di sicurezza. Inoltre, \u00e8 necessario assicurarsi che il suo accesso possa essere rapidamente ridotto o revocato. Questa non \u00e8 altro che igiene della sicurezza applicata a un nuovo tipo di identit\u00e0 operativa.<\/p>\n\n\n\n

Controllare la superficie di esecuzione in aggiunta al modello<\/h2>\n\n\n\n

La cronologia tecnica mostra che il rischio elevato non era solo l’unico aspetto su cui l’agente poteva ragionare, ma anche ci\u00f2 che l’agente era effettivamente in grado di fare una volta trovato un punto d’appoggio. Ha letto i dati dell’ambiente, ottenuto credenziali, utilizzato identit\u00e0 cloud e di cluster, si \u00e8 spostato attraverso servizi interni e ha raggiunto un accesso limitato in scrittura al controllo del codice sorgente.<\/p>\n\n\n\n

Ogni debolezza era di per s\u00e9 nota. Il rischio \u00e8 emerso perch\u00e9 l’agente poteva testare molti percorsi possibili, imparare dai tentativi falliti e combinare i risultati utili ottenuti attraverso diversi sistemi. Ecco perch\u00e9 la gestione del modello non \u00e8 sufficiente. Le organizzazioni devono anche governare la superficie di esecuzione dell’agente: i file che pu\u00f2 leggere, gli strumenti che pu\u00f2 richiamare, le identit\u00e0 che pu\u00f2 utilizzare, le reti che pu\u00f2 raggiungere e le azioni che pu\u00f2 intraprendere.<\/p>\n\n\n\n

Per i CISO, questo significa stabilire controlli indipendenti attorno alle azioni di una certa rilevanza. L’accesso dovrebbe avere una portata limitata, le credenziali dovrebbero avere una durata ridotta, i metadati cloud non dovrebbero essere disponibili per i carichi di lavoro che non ne hanno bisogno e le identit\u00e0 di servizio dovrebbero essere separate in base all’ambiente e allo scopo.<\/p>\n\n\n\n

La risposta agli incidenti deve essere pronta a far fronte a reali artefatti malevoli<\/h2>\n\n\n\n

L’evento evidenzia anche un problema legato alla prontezza degli addetti alla sicurezza. Hugging Face ha affermato che i modelli di frontiera commerciali hanno inizialmente rifiutato le richieste di analizzare i comandi reali, i payload e le prove di comando e controllo generate dalla violazione. Il team di risposta ha infine eseguito tale analisi con un modello a pesi aperti ospitato all’interno del proprio ambiente.<\/p>\n\n\n\n

Tale risultato non significa che le restrizioni di sicurezza siano errate; piuttosto, i piani di gestione degli incidenti devono tenere conto del fatto che il materiale che gli investigatori devono esaminare pu\u00f2 apparire identico a quello utilizzabile da parte di un malintenzionato. Il CyberSecEval 2<\/a> di Meta affronta questa tensione attraverso il concetto di falsi rifiuti, in cui una richiesta di sicurezza informatica \u00e8 legittima ma viene comunque respinta perch\u00e9 il suo intento risulta ambiguo.<\/p>\n\n\n\n

Prima di un incidente, i CISO devono valutare:<\/p>\n\n\n\n